وظّف مورد برمجيات للخدمات المالية مهندسًا لنجاح العملاء استخدم، على مدى نحو أربعة أشهر، صلاحيات وصوله المشروعة إلى الأنظمة لاستخراج سجلات حسابات العملاء من عدة عملاء من المؤسسات. وكان لدى المهندس وصول إلى بيئات العملاء في إطار مهامه في الدعم، وهو وصول مناسب لدوره ويُستخدم بانتظام لأغراض مشروعة. وكان الاستخراج منهجيًا: دفعات صغيرة من السجلات تُصدَّر بانتظام عبر API التقارير لدى المورد، وهي وظيفة مصرح بها لدور المهندس. ولم تكن عمليات التصدير كبيرة بما يكفي منفردةً لتفعيل أي عتبة لاكتشاف الحالات غير الاعتيادية. وبلغ مجموع ما استُخرج تراكميًا نحو أربعين ألف سجل للعملاء. واكتُشف الاختراق عندما رصد فريق تحليلات الاحتيال في أحد البنوك المتأثرة أنماط استيلاء على الحسابات ترتبط بمحفظة عملاء المورد. ولم يجد التحقيق الجنائي الرقمي أي دليل على مهاجم خارجي، ولا على بيانات اعتماد مخترقة، ولا على وصول غير مصرح به، فكل حدث وصول كان مُصادقًا عليه ومصرحًا به وضمن نطاق صلاحيات المهندس. أما الضابط الذي كان ينبغي أن يكتشفه، وهو التحليلات السلوكية لأنماط تصدير البيانات، فلم يكن منشورًا. لقد عملت ضوابط الوصول تمامًا كما صُممت، لكن المراقبة لم تكن مُطبقة.
ما هو تهديد وصول المطلعين الداخليين لدى الموردين حقًا؟
التهديد الداخلي لدى الموردين هو خطر أن يسيء موظفو المورد الذين يملكون وصولًا مشروعًا إلى بيانات العملاء استخدام ذلك الوصول، لتحقيق مكاسب مالية أو ميزة تنافسية أو بدافع ضغينة شخصية أو بإكراه خارجي، بطرق لا تمنعها ضوابط الوصول لأن الوصول مصرح به، ولا يكتشفها أمن المحيط لأن الفاعل موجود في الداخل بالفعل. ويختلف عن الهجوم الخارجي اختلافًا جوهريًا: فالمهاجمون الخارجيون يجب أن يتغلبوا على ضوابط الوصول لبلوغ البيانات، بينما يكون المطلعون الداخليون قد تجاوزوا تلك الضوابط بوصف ذلك شرطًا مسبقًا لتوظيفهم. والضوابط التي تحمي من التهديدات الخارجية تحديدًا لا تعالج المطلع الداخلي الذي يستخدم وصولًا مشروعًا لأغراض غير مصرح بها.
طيف التهديدات الداخلية أوسع من سيناريو الموظف الخبيث، الذي يميل إلى الهيمنة على التأطير المفاهيمي لهذه المخاطر. فالمطلعون الداخليون الخبيثون، أي الموظفون الذين يسيئون استخدام الوصول عمدًا لتحقيق مكاسب شخصية، يمثلون طرفًا من الطيف. ويشمل وسط الطيف المطلعين الداخليين المُكرَهين، أي الموظفين الذين تضغط عليهم أطراف خارجية أو تتلاعب بهم لتقديم وصول أو بيانات، والمطلعين الداخليين المهملين، أي الموظفين الذين يكشفون البيانات دون قصد بسبب سوء التعامل أو سوء الإعداد أو عدم اتباع الإجراءات الأمنية. وتتطلب كل فئة نهجًا مختلفًا في الاكتشاف والوقاية. فالمطلع الخبيث يتطلب مراقبة سلوكية تكتشف إساءة استخدام الوصول المصرح به، والمطلع المُكرَه يتطلب مراقبة أنماط الوصول غير المعتادة التي قد تشير إلى توجيه خارجي، والمطلع المهمل يتطلب التدريب وإجراءات واضحة وضوابط تمنع أنماط الأخطاء الشائعة.
تحدي الاكتشاف هو ما يجعل حوكمة التهديدات الداخلية لدى الموردين صعبة بشكل خاص من منظور العميل. فالعميل لا يستطيع رصد سلوك موظفي المورد مباشرة. والمراقبة التي ستكتشف إساءة الاستخدام الداخلية، أي التحليلات السلوكية لأنماط الوصول إلى البيانات ومراقبة تصدير البيانات واكتشاف الحالات غير الاعتيادية في الاستعلامات، يجب أن يطبقها المورد في بيئته الخاصة. ويستطيع العميل اشتراطها تعاقديًا، وتأكيد تطبيقها من خلال أسئلة التقييم، والتحقق من وجودها عبر أدلة التدقيق. لكن قدرة الاكتشاف الفعلية تعتمد بالكامل على تطبيق المورد وانضباطه التشغيلي، وهو ما لا يستطيع العميل رصده مباشرة.
تتركز مخاطر وصول المطلعين الداخليين لدى الموردين حول خمسة سيناريوهات تهديد محددة:
- تسريب البيانات بنية خبيثة: موظفون يستخرجون سجلات العملاء بصورة منهجية لبيعها خارجيًا أو لاستخدامها لأغراض تنافسية أو لتسهيل الاحتيال، عبر عمليات تصدير صغيرة ومنتظمة تبقى دون عتبات اكتشاف الحالات غير الاعتيادية
- تسهيل الاستيلاء على الحسابات: موظفون يقدمون بيانات اعتماد حسابات العملاء أو إجابات الأسئلة الأمنية أو رموز المصادقة لشبكات احتيال خارجية بغرض اختراق الحسابات
- تعديل البيانات لأغراض تنافسية: موظفون يغيّرون سجلات العملاء أو بيانات التسعير أو المخرجات التحليلية لمصلحة المنافسين أو لمصلحتهم الشخصية
- الإفصاح غير المصرح به عن البيانات: موظفون يُفصحون عن معلومات العملاء لأطراف خارجية بسبب الإهمال أو الإكراه أو بقرار متعمد، دون نمط الاستخراج المنهجي الذي يميز التسريب الخبيث
- إساءة استخدام الوصول المميز من قِبل المتعاقدين: متعاقدون وموظفون مؤقتون يملكون وصولًا مرتفع الصلاحيات ويستخدمونه خارج نطاقه المصرح به في ظل رقابة أقل من تلك المطبقة على الموظفين الدائمين
لماذا يهم هذا
يكتسب وصول المطلعين الداخليين لدى الموردين أهميته بالنسبة إلى TPRM لأن العلاقة مع المورد تُنشئ فئة من الأشخاص، هم موظفو المورد، يملكون وصولًا مصرحًا به إلى بيانات العملاء لكنهم لا يخضعون لعمليات الموارد البشرية لدى العميل أو تدريبه الأمني أو مراقبته السلوكية أو ضوابط التوظيف لديه. فبرنامج التهديدات الداخلية لدى العميل يحكم موظفيه هو، ولا يملك أي رؤية على سلوك موظفي المورد الذين يصلون إلى البيانات ذاتها. والضوابط الوحيدة التي تحمي بيانات العملاء من التهديد الداخلي من موظفي المورد هي الضوابط التي طبقها المورد في بيئته الخاصة.
يجعل بُعد النطاق هذه المخاطر بالغة الأثر بشكل خاص لدى موردي SaaS متعددي المستأجرين. فموظف خبيث واحد لدى مورد يخدم خمسمئة عميل من المؤسسات قد يملك وصولًا إلى بيانات تشمل العملاء الخمسمئة جميعًا. ووصول المطلع الداخلي المصرح به يعكس وظيفته، كنجاح العملاء أو الدعم أو التحليلات أو البنية التحتية، وقد يمتد بصورة مشروعة ليشمل جزءًا كبيرًا من قاعدة عملاء المورد. والاختراق الذي ينتجه ذلك الشخص ليس حادثًا يخص عميلًا واحدًا، بل حدث متعدد العملاء قد لا يُكتشف حتى تكشف أنماط الاحتيال في بيانات العملاء المتأثرين الخيط المشترك.
بالنسبة لممارسي TPRM، يتطلب تقييم التهديدات الداخلية تجاوز تأكيد ضوابط الوصول وسياسة التحقق من الخلفية إلى السؤال عن المراقبة السلوكية، أي ما يفعله المورد لاكتشاف إساءة استخدام الوصول المصرح به بين موظفيه. فالمورد الذي يملك ضوابط وصول ممتازة دون مراقبة سلوكية قد بنى محيطًا يوقف المهاجمين الخارجيين لكنه لا يعالج التهديد الموجود بالفعل في داخله.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول سياسة التحقق من الخلفية وقوة ضوابط الوصول على أنهما حوكمة للتهديدات الداخلية. فالتحقق من الخلفية يقلل احتمال توظيف شخص له سجل موثق في الاحتيال أو سوء السلوك، لكنه لا يؤثر في موظف يقرر إساءة استخدام وصوله بعد توظيفه، استجابةً لضغوط مالية أو إكراه خارجي، أو من خلال تصاعد تدريجي من مخالفات بسيطة للسياسات إلى سوء سلوك جسيم. وضوابط الوصول تحد من نطاق ما يستطيع المطلع الداخلي بلوغه، لكنها لا تمنعه من فعل كل ما هو مصرح له بفعله بالوصول الذي يملكه بصورة مشروعة.
الإخفاق الثاني هو عدم السؤال تحديدًا عن التحليلات السلوكية للوصول إلى البيانات. فتحليلات سلوك المستخدمين والكيانات، أي إرساء أنماط وصول أساسية لكل موظف والتنبيه عند الانحراف عنها، هي الضابط التقني الأساسي لاكتشاف التهديدات الداخلية. والمورد الذي يؤكد أن لديه تغطية SIEM لكنه لم يطبق UEBA على أنماط الوصول إلى البيانات لديه تغطية للتهديدات الخارجية وثغرة في سيناريو التهديد الداخلي. والتمييز بين التغطية العامة لـSIEM والتحليلات السلوكية المطبقة تحديدًا على الوصول إلى البيانات هو العامل الفارق في الحوكمة.
- قبول التحقق من الخلفية بوصفه حوكمة للتهديدات الداخلية: التحقق من الخلفية يتناول السجل الوظيفي لا القرارات المستقبلية
- التعامل مع قوة ضوابط الوصول على أنها حماية من التهديدات الداخلية: ضوابط الوصول تعالج الوصول غير المصرح به، لا إساءة استخدام الوصول المصرح به
- عدم السؤال عن التحليلات السلوكية للوصول إلى البيانات: تغطية SIEM دون تطبيق UEBA على أنماط الوصول إلى البيانات
- عدم تقييم المتعاقدين والموظفين المؤقتين بشكل منفصل: وصول مرتفع الصلاحيات للمتعاقدين دون المراقبة السلوكية ذاتها المطبقة على الموظفين الدائمين
- غياب مراقبة تصدير البيانات: أحداث التصدير الفردية مصرح بها لكن أنماط التصدير التراكمية لا تُراقب لرصد الأحجام غير الاعتيادية
كيف تبدو الممارسة الجيدة
تجمع برامج التهديدات الداخلية الناضجة لدى الموردين بين الضوابط التقنية، كالتحليلات السلوكية ومراقبة تصدير البيانات واكتشاف الحالات غير الاعتيادية في الاستعلامات، والضوابط التنظيمية، كالتدريب على الوعي الأمني وآليات واضحة للإبلاغ عن السلوك المريب للزملاء وممارسات إدارية تُرسي المساءلة عن التعامل مع البيانات.
- تحليلات سلوك المستخدمين والكيانات مطبقة على الوصول إلى البيانات: إرساء أنماط وصول أساسية لكل دور وظيفي مع تنبيه آلي عند الانحراف عنها
- مراقبة تصدير البيانات والتنبيه بشأنه: تتبّع أحجام التصدير التراكمية لكل مستخدم بعتبات تعكس أصغر الأنماط غير الاعتيادية، لا الأحداث الفردية الكبيرة فحسب
- اكتشاف الحالات غير الاعتيادية في الاستعلامات: الإبلاغ عن أنماط الاستعلامات عبر العملاء، والوصول خارج ساعات العمل من قِبل فئات محددة من المستخدمين، والوصول إلى أحجام غير معتادة من السجلات، لمراجعتها
- وصول المتعاقدين مع مراقبة معززة: إخضاع الوصول المرتفع الصلاحيات للمتعاقدين لمراقبة سلوكية إضافية نظرًا لضعف اندماجهم في المؤسسة ومساءلتهم
- الثقافة الأمنية وآليات الإبلاغ: تدريب الموظفين على التعرف على السلوك المريب للزملاء والإبلاغ عنه، مما يُنشئ طبقة اكتشاف بشرية تكمّل المراقبة التقنية
الأدوات
يتطلب اكتشاف التهديدات الداخلية أدوات تحليلات سلوكية تُرسي خطوط أساس للوصول وتكتشف الانحرافات عنها، مطبقة تحديدًا على نشاط الوصول إلى البيانات.
تحليلات سلوك المستخدمين والكيانات: Exabeam وVaronis وMicrosoft Sentinel
تُرسي منصات UEBA خطوط أساس سلوكية لكل مستخدم وتنبّه إلى أنماط الوصول التي تنحرف عنها، كالوصول إلى فئات بيانات غير معتادة أو أحجام سجلات غير معتادة أو في توقيتات غير معتادة أو تركيبات غير معتادة من أحداث الوصول. وتركز Varonis تحديدًا على التحليلات السلوكية للوصول إلى الملفات وقواعد البيانات، مع اكتشاف التهديدات الداخلية بوصفه حالة استخدام أساسية. وتوفر Exabeam تحليلات سلوكية قائمة على تعلم الآلة عبر مصادر السجلات، بما فيها الوصول إلى قواعد البيانات. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورد يطبق UEBA تحديدًا على الوصول إلى البيانات، لا على الوصول إلى الشبكات والأنظمة فحسب، يطرح السؤال الموجّه حول قدرة الاكتشاف.
حوكمة الوصول إلى البيانات: Imperva Data Security وIBM Guardium
توفر منصات مراقبة نشاط قواعد البيانات المصممة خصيصًا لأمن البيانات الرؤية على مستوى الاستعلامات التي تتطلبها التحليلات السلوكية، إذ تلتقط كل استعلام والمستخدم الذي نفّذه والجداول التي جرى الوصول إليها والسجلات المُعادة، وتطبق التحليل السلوكي لاكتشاف الأنماط غير الاعتيادية. وبالنسبة لموردي SaaS متعددي المستأجرين، فإن منصات DAM القادرة على اكتشاف حالات الوصول غير الاعتيادية عبر العملاء ضمن منحة وصول مصرح بها متعددة المستأجرين توفر أكثر قدرات اكتشاف التهديدات الداخلية تحديدًا في سياق بيانات العملاء.
DLP ومراقبة نقاط النهاية: Microsoft Purview وCrowdStrike Falcon
تكتشف أدوات DLP ومراقبة نقاط النهاية حركة البيانات من الأنظمة المُدارة إلى وجهات خارجية، مما يوفر طبقة اكتشاف مكمّلة لتسريب البيانات عبر قنوات تتجاوز مسار استعلامات قواعد البيانات. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان برنامج اكتشاف التهديدات الداخلية لدى المورد يجمع بين UEBA وDLP ومراقبة نقاط النهاية يطرح سؤالًا شاملًا حول تغطية الاكتشاف السلوكي.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التهديدات الداخلية لدى الموردين في محدودية إمكانية الرصد. فالعميل لا يستطيع رصد سلوك موظفي المورد مباشرة. ويمكنه اشتراط المراقبة السلوكية تعاقديًا، وتأكيد تطبيقها من خلال التقييم، والتحقق من فعاليتها عبر أدلة التدقيق وسجل الحوادث، لكن عمل الاكتشاف الفعلي يجب أن يقوم به المورد في بيئته الخاصة. وهذا يُنشئ اعتمادًا على الانضباط التشغيلي لدى المورد لا يستطيع العميل الاستعاضة عنه بضوابطه الخاصة.
بالنسبة لبرامج TPRM، يتمثل نهج الحوكمة العملي في اشتراط المراقبة السلوكية تحديدًا للوصول إلى البيانات بوصفها متطلبًا أمنيًا معياريًا للموردين، لا ضوابط الوصول فحسب، ولا التحقق من الخلفية فحسب، بل تحليلات سلوكية تُطبق على كيفية تعامل موظفي المورد مع بيانات العملاء. فالمورد القادر على وصف تطبيقه لـUEBA وخطوط الأساس السلوكية التي أرساها وقواعد اكتشاف الحالات غير الاعتيادية المطبقة على فرق التحليلات والدعم لديه قد عالج اكتشاف التهديدات الداخلية تشغيليًا. أما المورد الذي يصف سياسة التحقق من الخلفية لديه ردًا على أسئلة التهديدات الداخلية فلم يعالجه.
- اشتراط التحليلات السلوكية للوصول إلى البيانات بوصفها متطلبًا أمنيًا معياريًا للموردين، لا استنتاجها من التغطية العامة لـSIEM
- السؤال عن مراقبة تصدير البيانات: اكتشاف أنماط التصدير التراكمية بعتبات مُعايَرة لاكتشاف التسريب الصغير والمنتظم
- السؤال عن مراقبة وصول المتعاقدين: ما إذا كان الوصول المرتفع الصلاحيات للمتعاقدين يخضع لمراقبة سلوكية معززة
- تضمين سجل حوادث التهديدات الداخلية: هل سبق للمورد أن اكتشف حادث وصول داخلي إلى البيانات وحقق فيه، وما الذي توصل إليه، وما كانت الاستجابة
- السؤال عن مراقبة الوصول عبر العملاء في البيئات متعددة المستأجرين: ما إذا كانت أنماط الوصول غير الاعتيادية عبر العملاء تُكتشف
إذا كنت فريقًا صغيرًا
اطرح على مورديك الأعلى خطورة سؤالًا واحدًا لا يبلغه أبدًا التقييم المعياري لضوابط الوصول: إذا بدأ أحد موظفي الدعم أو التحليلات لديكم بتصدير سجلات العملاء بصورة منهجية في دفعات صغيرة على مدى عدة أشهر، فما المراقبة السلوكية التي ستكتشف ذلك، وبأي سرعة ستعلمون به، وما الذي سيُطلق التنبيه؟ يتطلب هذا السؤال من المورد وصف قدرته الفعلية على اكتشاف التهديدات الداخلية بدلًا من وضع ضوابط الوصول لديه. فالمورد القادر على وصف المراقبة السلوكية المحددة التي ستكتشف هذا السيناريو لديه برنامج للتهديدات الداخلية، أما المورد الذي يصف ضوابط الوصول لديه ردًا على سؤال عن الاكتشاف فليس لديه ذلك.
- طرح سؤال سيناريو التسريب المنهجي على علاقات الموردين الأعلى خطورة
- السؤال تحديدًا عمّا إذا كان UEBA يُطبق على أنماط الوصول إلى البيانات بدلًا من الوصول إلى الشبكات والأنظمة
- السؤال عن مراقبة تصدير البيانات والعتبة التي ستُطلق التنبيه
- السؤال عمّا إذا كانت حوادث تهديدات داخلية قد اكتُشفت وجرى التحقيق فيها خلال العامين الماضيين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إذا بدأ أحد موظفي الدعم أو التحليلات لديكم بتصدير سجلات العملاء بصورة منهجية في دفعات صغيرة على مدى عدة أشهر، مع البقاء دون أي عتبة للأحداث الفردية، فما المراقبة السلوكية التي ستكتشف هذا النمط، وبأي سرعة؟»
«هل تطبقون تحليلات سلوك المستخدمين والكيانات تحديدًا على أنماط الوصول إلى البيانات، بإرساء خطوط أساس سلوكية للموظفين الذين يصلون إلى بيانات العملاء والتنبيه عند الانحراف عنها، أم أن تغطية SIEM لديكم تركز أساسًا على الوصول إلى الشبكات والأنظمة؟»
«خلال العامين الماضيين، هل اكتشفتم أي حادث وصول داخلي إلى البيانات أساء فيه أحد موظفي المورد استخدام وصوله المصرح به إلى بيانات العملاء، وحققتم فيه، وما كانت النتيجة؟»
ما تتوقعه دليلًا
- وصف تطبيق التحليلات السلوكية: تطبيق UEBA على الوصول إلى البيانات، وإرساء خطوط الأساس، وإعداد اكتشاف الحالات غير الاعتيادية
- تأكيد مراقبة تصدير البيانات: اكتشاف الأنماط التراكمية مع معايرة العتبات
- سجل حوادث التهديدات الداخلية: أحداث الاكتشاف ونتائج التحقيق
- تأكيد تعزيز مراقبة وصول المتعاقدين
المورد الذي يجيب عن سؤال التسريب المنهجي بقوله «ضوابط الوصول لدينا قائمة على الأدوار وتُراجع كل ربع سنة» يكون قد وصف الضوابط التي صرّحت بوصول المهندس. اسأل عمّا سيكتشف استخدام المهندس لذلك الوصول المصرح به خارج نطاقه المقصود. فضوابط الوصول سمحت بأربعة أشهر من التسريب، والمراقبة السلوكية كانت ستكتشفه. اسأل عمّا إذا كانت المراقبة السلوكية موجودة.
كيف تُثبت ذلك
يتناول اكتشاف التهديدات الداخلية كلٌّ من ضوابط 53-AC-2 وAU في NIST SP 800، والمتطلبين 7 و10 في PCI-DSS، ومواصفات تطبيق ضوابط إدارة الوصول والتدقيق في HIPAA. ويتطلب إثبات العناية الواجبة تقديم دليل على أن القدرة على اكتشاف التهديدات الداخلية قد قُيّمت تحديدًا بما يتجاوز تأكيد ضوابط الوصول والتحقق من الخلفية.
- سجلات تقييم الموردين التي توثق أسئلة التحليلات السلوكية ومراقبة التصدير واكتشاف التهديدات الداخلية
- تأكيد تطبيق UEBA تحديدًا على أنماط الوصول إلى البيانات
- توثيق عتبات مراقبة تصدير البيانات
- مراجعة سجل حوادث التهديدات الداخلية
الخلاصة الرئيسية
يملك التهديد الداخلي بيانات اعتماد صالحة. لقد اجتاز التحقق من الخلفية، ووصوله مصرح به، ويجتاز كل فحص مصادقة في كل مرة. وضوابط الوصول التي توقف المهاجمين الخارجيين هي ذاتها الضوابط التي تؤكد أن المطلع الداخلي في مكانه الصحيح. والضابط الوحيد الذي يعالج التهديد الداخلي هو المراقبة التي ترصد ما يفعله المستخدمون المصرح لهم بالوصول الذي يملكونه بصورة مشروعة، أي التحليلات السلوكية التي تكتشف نمط عمليات التصدير الصغيرة والمنتظمة على مدى أربعة أشهر، وهو نمط لن تُنبّه إليه أي عتبة للأحداث الفردية. التحقق من الخلفية يعالج من وظّفه المورد، والمراقبة السلوكية تعالج ما يفعلونه بعد ذلك. وكلاهما مهم، لكن واحدًا فقط يعالج التهديد الموجود بالفعل في الداخل.